Information Technology Security Evaluation Criteria
aus Wikipedia, der freien Enzyklopädie
Die Information Technology Security Evaluation Criteria (ITSEC; deutsch etwa: Kriterien für die Bewertung der Sicherheit von Informationstechnologie) ist ein europäischer Standard für die Bewertung und Zertifizierung von Software und Computersystemen in Hinblick auf ihre Funktionalität und Vertrauenswürdigkeit bezüglich der Daten- und Computersicherheit. Der Standard wurde 1991 von der Europäischen Kommission veröffentlicht; er ist inhaltlich stark an den älteren deutschen Standard ITSK angelehnt und bietet somit eine differenziertere Einteilung als das amerikanische Orange Book (TCSEC). Die ITSEC- und TCSEC-Standards wurden in dem internationalen Standard Common Criteria vereinigt.
In Deutschland erfolgt die Zertifizierung nach ITSEC durch das Bundesamt für Sicherheit in der Informationstechnik. Bewertet wird nach der Information Technology Security Evaluation Methodology (ITSEM; deutsch etwa: Methode für die Bewertung der Sicherheit von Informationstechnologie).
[Bearbeiten] Funktionalitätsklassen
Im Gegensatz zum amerikanischen Orange Book unterscheidet die ITSEC (wie bereits vorher der ITSK-Standard) die Bewertung nach Funktionalität und Vertrauenswürdigkeit (Qualität), bei der Vertrauenswürdigkeit wird weiter nach Korrektheit und Wirksamkeit unterschieden. So ergeben sich drei Dimensionen der Bewertung, wobei nur die ersten 5 der insgesamt 10 Funktionalitätsklassen eine hierarchische Ordnung bilden:
| ITSEC F | ITSK F | Bedeutung | TCSEC |
|---|---|---|---|
| F-C1 | F1 | Einfache Sicherheit, kooperative Nutzer | C1 |
| F-C2 | F2 | Login-Mechanismus, Daten einzelner Benutzer getrennt, (einfache) Protokollierung | C2 |
| F-B1 | F3 | Sicherheitsmodell, regelbasierte Schutzstufen | B1 |
| F-B2 | F4 | Formales Sicherheitsmodell, sicherer Datenfluss bei der Authentisierung | B2 |
| F-B3 | F5 | Referenzmonitor-Eigenschaften, formal verifizierbar. | B3/A |
Desweitere existieren Funktionalitätsklassen, die sich auf die Konsistenz von Daten und die Verfügbarkeit von Diensten beziehen:
| ITSEC F | ITSK F | Bedeutung |
|---|---|---|
| F-IN | F6 | Regelwerk zu Wahrung der Integrität und Konsistenz der Daten, Typkonzept (insbesondere für Datenbanksysteme: Constraints und Transaktionen) |
| F-AV | F7 | Verfügbarkeit, Fehlerüberbrückung, Ausfallwahrscheinlichkeit (Vorkehrungen für Stromausfall, redundante Hardware, Backups) |
Zusätzlich gibt es drei Funktionalitätsklassen, die sich auf die Übertragung von Daten (insb. in Netzwerken) beziehen:
| ITSEC F | ITSK F | Bedeutung |
|---|---|---|
| F-DI | F8 | Sicherung der Integrität und Authentizität von Nachrichten (Elektronische Unterschrift) |
| F-DC | F9 | Sicherung der Vertraulichkeit von Nachrichten (Verschlüsselung) |
| F-DX | F10 | Anforderungen an sichere Netzwerke |
[Bearbeiten] Qualitätsklassen
Bei der Bewertung der Qualität (Vertrauenswürdigkeit) eines Computersystems wird zwischen der Wirksamkeit der Methode und der Korrektheit der Implementation unterschieden.
Die Wirksamkeit bezeichnet die Widerstandsfähigkeit eines Schutzmechanismuses gegen Umgehungsversuche. ITSEC unterscheidet 3 Stufen, in der ITSK wurde noch feiner unterschieden:
| ITSEC | ITSK | Bedeutung | TCSEC |
|---|---|---|---|
| - | ungeeignet | kein Schutz | D |
| niedrig | schwach | Nur Schutz gegen zufällige, unbeabsichtigte Verstöße gegen die Sicherheitsregeln. Leicht zu umgehen. | |
| mittel | mittelstark | Schutz gegen absichtliche Verstöße von Angreifern mit beschränkter Gelegenheit und Mitteln. | C1-C2 |
| stark | stark | Guter Schutz, nur mit hohem Aufwand zu umgehen | B1-B2 |
| sehr stark | Sehr guter Schutz, nur mit sehr hohem Aufwand zu umgehen | B3-A | |
| z.Z. nicht überwindbar | Zur Zeit nicht zu überwinden, keine Schwachstelle bekannt. |
Die Beurteilung der Korrektheit der Implementation erfolgt in 6 Stufen. Dabei wird insbesondere auf Programmfehler geprüft, sowie darauf, in wie weit die Implementation tatsächlich die zuvor bewertete Methode realisiert. Im Gegensatz zur der BSI-Richtlinie ITSK fasst ITSEC die Wirksamkeit und Vertrauenswürdigkeit nicht zusammen, sondern behandelt die Werte getrennt.
| ITSEC E | CC EAL | ITSK Q | Bedeutung | TCSEC |
|---|---|---|---|---|
| E0 | - | Q0 | Unwirksam | D |
| E1 | EAL2 | Q1 | Informelle Spezifikation der Architektur, Funktionstest, gezielte Angriffe | C1 |
| E2 | EAL3 | Q2 | zusätzlich informelle Beschreibung des Feinentwurfs (Detailspezifikation) | C2 |
| E3 | EAL4 | Q3 | Analyse des Quellcodes bzw. des Hardwarelayouts | B1 |
| E4 | EAL5 | Q4 | Formales Sicherheitsmodell, semiformale Detailspezifikation | B2 |
| E5 | EAL6 | Q5 | Detailspezifikation muss nachvollziehbar auf Quellcode abbildbar sein | B3 |
| E6 | EAL7 | Q6 | zusätzlich formale Spezifikation und Analyse der Architektur (Verifikation) | A |
